Log4Shell調査プレイブック — 証拠に基づくトリアージ
Log4Shell（CVE-2021-44228）のステップバイステップ調査プレイブック：脆弱性の理解、影響を受けるシステムの発見、指標の収集、露出の検証、悪用の検出、緩和の計画 — 実際のツールと調査パスを使用。
クイックアンサー
Log4Shellを調査するには、NVDでCVE-2021-44228のレコードとCVSSを確認し、CISA KEVをチェックし、影響を受けるLog4jバージョンを実行するすべてのシステムを特定し、ログとネットワークトラフィックでJNDIルックアップの指標を探し、露出を検証し、リスクが低減したとみなす前にベンダーパッチまたは緩和策を適用します。
定義
Log4Shell調査とは、Log4jのJNDIリモートコード実行脆弱性（CVE-2021-44228）への露出の証拠に基づくトリアージであり、影響を受けるバージョンの発見、指標の収集、悪用の検証、緩和の計画を含みます。
最初に答える
Log4Shellを5つのステップでトリアージします：CVEの確認 → 影響を受けるシステムの発見 → 指標の収集 → 悪用の検証 → 修正の計画。
1. Log4Shellとは何か、なぜ重要なのか
CVE-2021-44228はApache Log4j 2のJNDIメッセージルックアップ機能におけるリモートコード実行脆弱性です。影響を受けるバージョンでログに記録される任意の文字列を制御できる攻撃者は、外向きのJNDIルックアップをトリガーし、条件が整えばリモートコード実行に至らせることができます。Log4jは数千の製品に埋め込まれているため、爆発半径は広範囲に及びます。これがこの脆弱性に独自のCISAアドバイザリと悪用の波が存在する理由です。
2. 影響を受けるシステムとバージョン
資産インベントリから始め、既知の影響を受けるバージョンにマッピングします。
- Log4j 2.0-beta9から2.14.1（および一部の2.15.xビルド）がCVE-2021-44228の影響を受けます。
- CVE-2021-45046は2.16.0より前のLog4j 2.xに影響し、別途スコアリングされます。
- Log4jを埋め込んでいる製品（アプリケーションサーバー、セキュリティアプライアンス、SDK）は、Log4jを直接インストールしていなくても影響を受けます。
優先順位付けの前に、CVEルックアップで各CVEの重大度、CVSSベクター、影響を受ける製品、CISA KEVステータスを確認してください。
3. 収集する指標
悪用を探す際、これらのシグナルを収集します — 削除しないでください。
${jndi:ldap://、${jndi:rmi://、${jndi:dns://、またはbase64エンコードされたJNDIパターンを含むログ行。- アプリケーションホストから未知のLDAP/RMI/HTTPホストへの異常なポートでの外向き接続。
- ユーザー入力をログにエコーするHTTPヘッダーやパラメータ（User-Agent、Referer、X-Forwarded-For、フォームフィールド）。
- ホスト上の
exec()トレースやプロセスコマンドラインで観測されたコマンド断片。 - ベンダーとCISA/NCSCアドバイザリが公開したIOC：攻撃者のIP、JNDI経由でルックアップされたドメイン、ペイロードハッシュ。
IOCルックアップですべての指標を正規化・デファングし、正規化された値をOpenTrojanインテリジェンスで確認します。デファングする前に生の値を記録してください。
4. 調査ワークフロー
- 確認：CVEの詳細と、あなたの正確な製品とバージョンに関するベンダーアドバイザリを読みます。
- 範囲：影響を受けるLog4jを実行するすべてのホストとサービスをリストします。埋め込まれたコピーも含みます。
- 収集：調査中のタスクウィンドウからログとパケットキャプチャを取得します（先にファイルを変更しない）。
- 検証：JNDIルックアップを後続の外向きリクエストやプロセス実行と相関させて、良性のスキャン/ハニーポットとの相互作用と実際の悪用を区別します。
- 封じ込め：確認されたホストを隔離し、より広範な修復の前にベンダーパッチまたは公式の緩和策を適用します。
新しい調査を開始して、ホストごとの範囲、証拠、修復を追跡します。すべての収集所見をソースとタイムスタンプとともに記録してください。
5. 収集すべきもの（証拠の規律）
すべての所見について記録します：ホスト、サービス、Log4jバージョン、正確なログ行（デファング済み）、観測タイムスタンプ、レコードのソース、確認したアナリスト。後で検証するために生のログを不変に保ちます。
6. 検証方法
確認済みのシグナルは、攻撃者が制御する入力からの受信JNDIルックアップかつ一致する外向きの相互作用、またはコマンド実行のマーカーを意味します。単一のログテンプレートのマッチは疑いであり、確認ではありません。攻撃者もスキャナーもルックアップをトリガーします。ツールのヒットを単独で判定として扱ってはいけません。
7. 検出と緩和
- 検出：上記の指標に加え、JNDI文字列のWebアクセスログ、異常なLDAP/HTTP宛先への外向き接続を検索します。
- 緩和：ベンダー修正版のLog4jにアップグレードし、アップグレードできないバージョンでは公式の緩和策を有効にし、信頼できないLDAP/RMIへの外向き通信をブロックし、CVEがKEVにある場合はCISAの必要な対応を適用します。
8. 役立つツール
- CVEルックアップ — 重大度、CVSS、影響を受ける製品、KEVステータス。
- IOCルックアップ — OpenTrojanインテリジェンスに対する指標の正規化、デファング、照合。
- 調査ワークスペース — 範囲と修復の追跡。